Plataforma
php
Componente
getkirby/cms
Corregido en
3.9.9
3.10.1
4.0.1
3.9.8.3
Esta vulnerabilidad de Path Traversal afecta a las instalaciones de getkirby/cms que utilizan el servidor web integrado de PHP, comúnmente usado en entornos de desarrollo local. Un atacante puede aprovechar esta debilidad para acceder a archivos sensibles en el sistema de archivos. Las versiones afectadas son aquellas iguales o menores a 3.9.8.2; la solución es actualizar a la versión 3.9.8.3 o utilizar un servidor web como Apache, Nginx o Caddy.
La vulnerabilidad de Path Traversal en getkirby/cms permite a un atacante, que tenga acceso a la aplicación a través del servidor web integrado de PHP, leer archivos arbitrarios en el sistema de archivos del servidor. Esto podría incluir archivos de configuración, código fuente, o incluso datos sensibles almacenados en el sistema. El impacto se limita a entornos de desarrollo local que utilizan el servidor web integrado de PHP, ya que las instalaciones en producción que utilizan servidores web más robustos no son vulnerables. La exposición de información confidencial podría resultar en la comprometer la seguridad del sistema y la información almacenada.
Esta vulnerabilidad fue publicada el 13 de mayo de 2025. No se ha reportado explotación activa en campañas conocidas. La probabilidad de explotación se considera baja debido a que la vulnerabilidad solo afecta a las instalaciones que utilizan el servidor web integrado de PHP, que generalmente se utilizan en entornos de desarrollo. No está listada en el KEV de CISA.
Developers and system administrators using getkirby/cms in local development environments with PHP's built-in web server are at the highest risk. Shared hosting environments that default to PHP's built-in server for development purposes are also potentially vulnerable. Those using Kirby CMS for local testing or prototyping are particularly susceptible.
• php: Check for the presence of router.php in the document root and verify that PHP's built-in web server is not enabled in production.
ps aux | grep -i php-fpm• generic web: Examine access logs for unusual file requests containing .. sequences.
grep '../' /var/log/apache2/access.logdisclosure
Estado del Exploit
EPSS
0.59% (69% percentil)
CISA SSVC
La mitigación principal es actualizar getkirby/cms a la versión 3.9.8.3 o superior, que corrige la vulnerabilidad. Si la actualización no es inmediatamente posible, evite el uso del servidor web integrado de PHP en entornos donde la seguridad es crítica. Utilice un servidor web como Apache, Nginx o Caddy en su lugar. Si el uso del servidor web integrado de PHP es inevitable, implemente controles de acceso estrictos para limitar el acceso a los archivos del sistema de archivos. No hay firmas de detección específicas disponibles, pero monitorear el acceso a archivos sensibles puede ayudar a identificar actividad sospechosa.
Actualice Kirby a la versión 3.9.8.3, 3.10.1.2 o 4.7.1, o a una versión posterior. Esto corrige la vulnerabilidad de path traversal en el enrutador cuando se utiliza el servidor incorporado de PHP. Si no puede actualizar inmediatamente, evite usar el servidor incorporado de PHP en entornos de producción.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2025-30207 is a Path Traversal vulnerability affecting getkirby/cms versions up to 3.9.8.2 when using PHP's built-in web server, allowing attackers to potentially access sensitive files.
You are affected if you are using getkirby/cms version 3.9.8.2 or earlier and are using PHP's built-in web server in your environment. Sites using Apache, nginx, or Caddy are not affected.
Upgrade getkirby/cms to version 3.9.8.3 or later. Alternatively, disable PHP's built-in web server in production environments.
As of the current date, there are no confirmed reports of active exploitation of CVE-2025-30207.
Refer to the official getkirby/cms security advisory on their website or GitHub repository for the most up-to-date information.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.